一、了解AST遍历在Python代码审计中的作用
1) AST与语法树的关系
在Python代码审计实战中，AST（抽象语法树）提供了代码语义的结构表示，剥离了冗余的语法细节，使得我们可以以树形结构分析变量绑定、函数调用、控制流等要素。通过将源码解析成AST，我们能够看到真实的语义关系，从而更准确地定位潜在风险点，如动态执行、跨模块的间接调用等。
相比简单的文本搜索，AST遍历具备稳定性和准确性，可以降低误报与漏报的概率，尤其在处理大型代码库时更显优势。Python的ast模块提供了解析、遍历和变换的能力，是代码审计的核心工具之一。
下面的示例演示如何把源代码转成AST并初步遍历顶层节点，帮助我们理解AST在审计中的起点作用。
import astsource = "x = 1\ny = x + 2"
tree = ast.parse(source)for node in ast.walk(tree):if isinstance(node, ast.Assign):print("赋值语句在行:", getattr(node, "lineno", None))
2) 遍历的有效路径与常用模式
在实际审计中，NodeVisitor模式是最常用的起点。通过为不同节点类型实现visit_XXX方法，我们可以聚焦于函数调用、导入语句、类定义等感兴趣的节点。这种结构化的方法具有良好的扩展性，便于引入新的审计规则。
常见的遍历路径包括：通过visit_Call捕获函数调用、通过visit_Import/visit_ImportFrom分析导入依赖、通过visit_FunctionDef/visit_ClassDef关注定义位置与作用域。结合这些方法，我们能够实现对危险函数、敏感模块、反射/动态特性的快速定位。
以下示例展示如何使用NodeVisitor模式对代码中危险调用进行检测，这也是Python代码审计实战中的高频场景。
import astclass AuditVisitor(ast.NodeVisitor):def __init__(self):self.issues = []def visit_Call(self, node):# 检测内置函数中的危险调用if isinstance(node.func, ast.Name) and node.func.id in {"eval", "exec"}:self.issues.append((getattr(node, "lineno", None), node.func.id))self.generic_visit(node)source = "a = eval('2 + 2')"
tree = ast.parse(source)
visitor = AuditVisitor()
visitor.visit(tree)
print(visitor.issues) # [(1, 'eval')]
二、AST遍历的核心技巧与实现
1) 使用ast.NodeVisitor的基本范式
NodeVisitor提供了对AST节点类型的自然扩展点，通过实现visit_Call、visit_Import等方法，审计逻辑可以与AST结构紧密结合。该范式的核心在于逐层遍历并在需要处进行聚合、收集与判断。
通过这种方式，我们可以把静态分析规则以模块化的方式组织起来，便于维护与扩展。例如，检测特定API的使用、识别动态构造的代码路径、追踪变量的来源与传递关系等，都是NodeVisitor可以胜任的任务。
为了验证思路，下面给出一个更具体的例子，展示如何用NodeVisitor定位对危险函数的调用。
import astclass DangerousCallDetector(ast.NodeVisitor):DANGEROUS = {"os.system","subprocess.Popen","subprocess.check_output"}def visit_Call(self, node):func = node.funcfull_name = ""if isinstance(func, ast.Attribute):if isinstance(func.value, ast.Name):full_name = f"{func.value.id}.{func.attr}"elif isinstance(func, ast.Name):full_name = func.idif full_name in self.DANGEROUS:print("发现危险调用:", full_name, "在行", getattr(node, "lineno", None))self.generic_visit(node)source = '''
import os, subprocess
os.system("echo hello")
subprocess.Popen(["bash","-lc","echo hi"])
'''
tree = ast.parse(source)
DangerousCallDetector().visit(tree)
2) ast.NodeTransformer的就地修改能力
NodeTransformer不仅能遍历，还能对AST进行就地修改，进而实现自动化的审计修复或策略替换。这在需要对代码进行保守性改写、引入日志、包装关键调用等场景中非常有用。通过修改树结构，我们可以在不改变原始文本的前提下，演示“若触发某种行为应执行的新逻辑”。
在审计实践中，常见的用法包括将不安全的调用包裹在安全层、将直接的打印输出替换为日志记录等。下列示例展示如何将所有print调用替换为logger.info的形式，以便在审计阶段便于集中观察输出。
import astclass WrapPrintWithLogger(ast.NodeTransformer):def visit_Call(self, node):# 将 print(...) 替换为 logger.info(...)if isinstance(node.func, ast.Name) and node.func.id == 'print':new_call = ast.Call(func=ast.Attribute(value=ast.Name(id='logger', ctx=ast.Load()), attr='info', ctx=ast.Load()),args=[node],keywords=[])return ast.copy_location(new_call, node)return self.generic_visit(node)source = "print('hello')"
tree = ast.parse(source)
tree = WrapPrintWithLogger().visit(tree)
# ast.fix_missing_locations(tree) # 如需重新生成可执行代码，可调用
# 节点变换后的树可用于后续写回到代码基或进一步分析
三、应用场景与实践案例
1) 安全性审计：检测eval、exec、os.system等
在实际的安全性审计中，动态执行相关调用是重点关注对象，典型的点包括eval、exec、os.system、subprocess等。通过AST遍历，我们能够在源代码级别捕捉到这些调用发生的位置，并结合调用上下文判断是否存在代码注入风险、任意执行风险或未授权的外部交互。
实现思路通常是集中定义禁用API集合，利用visit_Call对调用进行模式匹配，同时结合导入语句与动态拼接的路径分析，提高判定的准确性。
import astclass SecurityAudit(ast.NodeVisitor):DANGEROUS = {"eval", "exec", "os.system"}def visit_Call(self, node):if isinstance(node.func, ast.Name) and node.func.id in self.DANGEROUS:print("潜在危险调用:", node.func.id, "在行", getattr(node, "lineno", None))self.generic_visit(node)source = "a = eval('2+2')\\nb = os.system('ls')"
tree = ast.parse(source)
SecurityAudit().visit(tree)
2) 数据隐私与密钥暴露排查
在代码审计中，密钥、API Key、密码等敏感信息的硬编码是常见的暴露风险。通过扫描字符串常量，并结合上下文（如常量赋值、配置文件嵌入、字符串拼接等），可以发现潜在的隐私泄露点。
下面给出一个示例，利用AST检测字符串字面量中包含关键字的情况，以帮助审计人员快速定位可能的密钥信息。
import astclass SecretKeyDetector(ast.NodeVisitor):def __init__(self):self.found = []def visit_Constant(self, node):if isinstance(node.value, str) and any(k in node.value.lower() for k in ("secret","apikey","api_key","password","token")):self.found.append((getattr(node, "lineno", None), node.value))self.generic_visit(node)source = '''
API_KEY = "123456"
db_password = "passw0rd"
'''
tree = ast.parse(source)
SecretKeyDetector().visit(tree)
print(SecretKeyDetector().found)
3) 代码质量与维护性评估：检测动态导入与反射使用
动态导入、反射调用以及反射式属性访问会让代码的静态分析变得困难，因此在审计阶段需要对<强>__import__、importlib.import_module等动态导入路径、以及getattr、setattr等动态属性访问进行关注。
通过AST遍历，我们可以定位这些动态行为的发生点，并结合代码上下文评估是否存在可维护性问题或潜在安全隐患。
import astclass DynamicImportDetector(ast.NodeVisitor):def __init__(self):self.issues = []def visit_Call(self, node):# 检测显式的动态导入if isinstance(node.func, ast.Name) and node.func.id == "__import__":self.issues.append(("__import__", getattr(node, "lineno", None)))self.generic_visit(node)source = '''
module = __import__("math")
import importlib
mod = importlib.import_module("json")
'''
tree = ast.parse(source)
DynamicImportDetector().visit(tree)
四、在实际项目中的落地步骤
1) 明确审计目标与代码范围
在正式执行前，需要对审计目标与代码范围进行明确：哪些仓库、哪些分支、哪些模块属于本轮审计对象；预计覆盖的安全风险点、合规性要求以及输出的报告格式。
将目标与范围以清单形式记录，能帮助团队在后续的AST遍历实现中保持一致性，并便于与CI/CD流程对接。
另外，需要准备好样例代码与对照基线，以便在自动化分析中进行结果对比与性能评估。
2) 构建AST遍历脚本并输出报告
基于<AST遍历脚本，可以实现对代码中潜在风险点的检测、统计与聚合，最终输出结构化的报告（如JSON、CSV、或MD格式）。报告应包含违规点的位置、调用栈信息、涉及的模块与文件路径等要素，便于后续的审计复核。
在实现阶段，建议采用分层设计：最底层负责AST解析与遍历；中间层封装各类审计规则；上层输出格式与CI集成。这样有利于迭代与扩展。
import ast, json, osclass AuditEngine:def __init__(self, rules):self.rules = rules # 规则集合def run(self, path):results = []for root, _, files in os.walk(path):for f in files:if f.endswith(".py"):full = os.path.join(root, f)with open(full, "r", encoding="utf-8") as fh:src = fh.read()tree = ast.parse(src, filename=full)for r in self.rules:results.extend(r.run(tree, full))return results# 示例规则：检测eval/exec
class EvalExecRule:def run(self, tree, filename):issues = []class Detector(ast.NodeVisitor):def visit_Call(self, node):if isinstance(node.func, ast.Name) and node.func.id in {"eval","exec"}:issues.append({"file": filename, "lineno": getattr(node, "lineno", None), "call": node.func.id})self.generic_visit(node)Detector().visit(tree)return issuesengine = AuditEngine([EvalExecRule()])
print(engine.run("path/to/your/code"))
